2026년 10월 22일, 정부는 민간 분야 사이버위기 경보를 관심에서 주의로 상향했다. 웹사이트와 온라인 서비스에 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견되면서 사이버공격에 대한 우려가 커졌기 때문이다. 이번 사태에서 눈여겨볼 점은 취약점을 발견하는 과정에 AI가 활용되었다는 사실이다. AI가 복잡한 소프트웨어의 결함을 찾아내고 보안 위험을 식별하는 데 도움을 줄 수 있다는 가능성을 보여준 것이다.
그러나 새로운 기술이 위험을 발견하는 능력을 높여준다고 해서 그 위험이 저절로 해결되는 것은 아니다. 취약점이 발견되면 어떤 시스템이 영향을 받는지 확인하고, 필요한 보안 조치를 결정하며, 실제로 문제가 해결되었는지 점검해야 한다. 이 모든 과정에는 사람과 조직의 판단이 필요하다. 기술이 발전할수록 그 기술을 관리하고 통제하는 능력도 함께 발전해야 한다는 말이다.
연암사 출판사의 책 [AI를 어떻게 통제할 것인가]는 이러한 문제를 다룬다. AI를 얼마나 잘 활용할 수 있는가에만 관심을 둘 것이 아니라, AI가 작동하는 조직과 시스템을 어떻게 안전하고 책임 있게 관리할 것인지 살펴봐야 한다는 것이다.
기술적인 문제가 왜 경영의 문제인가
PHP 보안 문제는 소프트웨어에서 발견된 기술적인 문제다. 따라서 취약점을 수정하는 보안 업데이트와 필요한 기술적 조치가 우선적으로 이루어져야 한다. 하지만 기업이 이러한 조치를 제대로 수행하려면 기술적인 전문성만으로는 부족하다.
먼저 어떤 시스템에서 PHP를 사용하고 있는지 알아야 한다. 그중 어느 시스템에 보안 업데이트가 필요한지 확인하고, 즉시 조치하기 어려운 경우에는 어떻게 위험을 줄일 것인지 결정해야 한다. 이때 중요한 것은 누가 이러한 일을 책임지고 수행하는가이다. 시스템의 운영 현황을 누가 관리하는지, 보안 위험이 발견되었을 때 누가 대응을 결정하는지, 필요한 조치가 실제로 이루어졌는지 누가 확인하는지가 명확해야 한다. 이러한 책임과 의사결정의 체계를 거버넌스라고 한다.
거버넌스는 조직이 중요한 문제를 어떤 기준과 절차에 따라 결정하고, 그 결과에 대해 누가 책임지는지를 정하는 체계다. 따라서 보안 위험을 관리하는 일도 기술 담당자에게만 맡겨둘 수는 없다. 보안 사고가 발생하면 기업의 업무가 중단되거나 고객정보가 유출될 수 있다. 피해가 커지면 기업의 신뢰와 경영 성과에도 영향을 미친다.
이 때문에 경영진은 주요 보안 위험이 적절하게 관리되고 있는지 확인해야 하며, 이사회 역시 중요한 위험에 대한 관리체계를 감독할 필요가 있다. 이번 PHP 보안 문제는 기술적인 문제가 조직 전체의 위험관리 문제로 이어질 수 있다는 사실을 보여준다.
AI가 더 많은 일을 할수록 통제도 중요해진다
AI 시대에는 이러한 거버넌스의 중요성이 더욱 커진다. AI는 이제 질문에 답하거나 문서를 작성하는 작업뿐 아니라 기업의 정보시스템과 연결되어 자료를 분석하고, 업무를 처리하며, 정해진 조건에 따라 작업을 실행하는 방향으로 발전하고 있다. 특히 AI 에이전트는 여러 프로그램을 이용하고 데이터베이스에 접근하면서 사람을 대신해 일정한 업무를 수행할 수 있다. 이러한 기능은 업무의 효율성을 높일 수 있지만 새로운 위험도 만들어낸다.
예를 들어 AI가 고객정보를 관리하는 시스템에 접근할 수 있다고 생각해 보자. AI에 지나치게 넓은 권한이 부여되어 있거나 연결된 시스템에 보안 취약점이 있다면, 잘못된 작업이나 외부 공격으로 인해 중요한 정보가 영향을 받을 수 있다.
여기서 중요한 것은 AI 모델 자체의 안전성만으로 전체 시스템의 안전성을 보장할 수 없다는 사실이다. AI가 아무리 정교하게 설계되어 있어도 연결된 시스템이 안전하지 않거나 접근권한이 제대로 관리되지 않으면 문제가 발생할 수 있다. 따라서 AI를 안전하게 활용하려면 AI가 어떤 시스템과 연결되어 있는지, 어떤 정보를 이용하는지, 어디까지 스스로 작업할 수 있는지 파악해야 한다. AI를 통제한다는 것은 AI가 실제로 사용되는 업무와 정보시스템, 그리고 그 운영을 책임지는 조직까지 함께 관리하는 일이다.
AI 거버넌스는 어떻게 작동해야 하는가
AI 거버넌스가 선언적인 원칙에 머물러서는 안 된다는 것이 [AI를 어떻게 통제할 것인가]의 관점이다. 기업이 AI를 안전하고 책임 있게 사용하겠다고 선언하는 것은 필요하다. 그러나 이러한 원칙이 실제 업무에서 지켜지지 않는다면 위험을 예방하기 어렵다. AI 거버넌스가 제대로 작동하려면 구체적인 내부통제 체계가 필요하다.
내부통제란 조직이 위험을 줄이고 업무를 적절하게 수행하기 위해 마련하는 절차와 관리 장치를 뜻한다. 우선 기업은 어떤 업무에 AI를 사용하고 있는지 파악해야 한다. AI가 어떤 데이터를 이용하고, 어떤 시스템과 연결되며, 그 결과가 어느 업무에 영향을 미치는지 알아야 위험을 관리할 수 있다. 다음으로 AI가 수행할 수 있는 업무의 범위를 정해야 한다. 예를 들어 AI가 자료를 검색하고 보고서 초안을 작성하는 일과 고객정보를 변경하거나 자금을 이체하는 일은 위험 수준이 다르다. 따라서 업무의 중요성에 따라 접근권한을 구분하고, 필요한 경우에는 사람이 최종적으로 승인하도록 해야 한다.
예상하지 못한 문제가 발생했을 때 AI의 작업을 중단하거나 접근권한을 회수할 수 있는 장치도 중요하다. AI가 어떤 지시에 따라 무슨 작업을 수행했는지 기록하는 일도 필요하다. 문제가 발생했을 때 그 과정을 확인할 수 있어야 원인을 파악하고 책임을 규명할 수 있기 때문이다.
이러한 통제가 실제로 작동하는지 점검하는 역할은 내부감사가 수행할 수 있다. 내부감사는 AI의 사용 현황과 위험관리 절차를 독립적으로 평가하고, 필요한 개선 사항을 제시함으로써 조직의 통제체계를 강화하는 데 기여한다. 결국 AI 거버넌스의 핵심은 기업이 마련한 원칙이 실제 업무에서 지켜지고 있는지 지속적으로 확인하는 데 있다.
AI를 통제할 책임은 누구에게 있는가
기업이 AI를 도입할 때 가장 먼저 기대하는 것은 생산성 향상과 비용 절감, 새로운 사업 기회일 것이다. 반복적인 업무를 자동화하고 많은 정보를 빠르게 분석할 수 있다면 기업의 경쟁력을 높이는 데 도움이 된다. 그러나 AI의 활용 범위가 넓어질수록 그에 따른 위험과 책임도 함께 고려해야 한다. 어떤 업무를 AI에 맡길 것인지, AI가 어디까지 스스로 판단하도록 허용할 것인지, 문제가 발생하면 누가 대응할 것인지는 기술 담당자만의 결정으로 끝낼 수 없는 문제다.
경영진은 AI의 활용 목적과 위험 수준을 고려해 적절한 관리체계를 마련해야 한다. 이사회 역시 기업이 AI를 도입하고 활용하는 과정에서 중요한 위험이 제대로 관리되고 있는지 감독할 필요가 있다. 그렇다고 AI에 관한 모든 기술적 문제를 경영진과 이사회가 직접 해결해야 한다는 뜻은 아니다. 기술적인 문제는 전문가가 해결하더라도 조직이 어떤 위험을 받아들이고 어떤 통제체계를 갖출 것인지는 경영진의 책임이며, 이사회는 그 체계가 적절하게 운영되는지 감독해야 한다는 의미다.
이번 PHP 보안 문제도 이러한 책임의 중요성을 생각하게 한다. AI는 보안 취약점을 발견하는 데 도움을 줄 수 있다. 그러나 발견된 위험에 어떻게 대응하고, 필요한 조치를 누가 실행하며, 그 결과를 어떻게 확인할 것인지는 여전히 조직이 결정해야 할 문제다. 기술이 발전한다고 해서 인간의 책임이 사라지는 것은 아니라는 말이다. 오히려 AI가 더 많은 업무를 수행할수록 책임의 범위를 명확하게 정하고 관리하는 일이 중요해진다.
AI 시대의 경쟁력은 통제 역량에서도 나온다
기업이 AI를 얼마나 빠르게 도입했는지는 기술 활용 수준을 보여주는 하나의 기준이 될 수 있다. 그러나 AI를 많이 활용한다고 해서 반드시 안전하고 책임 있는 조직이라고 볼 수는 없다. AI가 어떤 업무에 사용되는지 파악하고, 위험에 따라 권한을 제한하며, 문제가 발생했을 때 신속하게 대응할 수 있어야 한다. 이러한 관리체계가 뒷받침되어야 AI를 안정적으로 활용할 수 있다.
[AI를 어떻게 통제할 것인가]는 AI 거버넌스를 기술 발전과 별개의 문제가 아니라, 기술을 책임 있게 활용하기 위한 중요한 경영 과제로 바라보게 한다. 이번 PHP 보안 문제가 남긴 교훈도 이와 연결된다. 새로운 기술이 위험을 발견하는 능력을 높여주더라도, 그 위험을 관리하고 통제하는 책임까지 대신해 주지는 않는다.
AI 시대에 중요한 것은 기술을 얼마나 빠르게 도입하는가만이 아니라, 그 기술이 조직과 사회에 미치는 영향을 얼마나 안전하고 책임 있게 관리할 수 있는가이다. AI를 도입하는 것은 기술적 선택이지만, AI를 통제하는 것은 거버넌스의 책임이다. © 연암사
댓글
댓글 쓰기